Peretasan Binance US$ 6,3 Miliar Bongkar Rapuhnya Keamanan Bursa Kripto

Sumber: Reuters | Editor: Handoyo

KONTAN.CO.ID - JAKARTA. Kasus pencurian aset kripto senilai US$6,3 miliar dari Binance kembali menyoroti kerentanan keamanan siber di industri aset digital. Serangan yang diduga dilakukan kelompok peretas elite asal Korea Utara tersebut memperlihatkan bagaimana kompromi terhadap satu karyawan dapat membuka jalan bagi pencurian aset dalam skala besar.

Peristiwa yang terjadi pada 29 Oktober itu disebut sebagai pencurian aset kripto terbesar sepanjang sejarah. Berdasarkan hasil investigasi awal Binance, serangan tersebut berlangsung hanya dalam hitungan menit, meskipun telah melalui proses perencanaan dan persiapan selama berbulan-bulan.

Para pakar keamanan siber menilai, insiden ini tidak hanya memunculkan pertanyaan mengenai kemampuan bursa kripto melindungi karyawan dari rekayasa sosial (social engineering) yang semakin canggih. Namun, kasus tersebut juga mempertanyakan efektivitas pengendalian internal untuk membatasi tindakan peretas setelah berhasil mengakses komputer atau kredensial milik karyawan.

Chief Technology Officer OpenZeppelin, penyedia layanan keamanan blockchain di bawah S&P Global, Jonathan Alexander mengatakan, rekayasa sosial sebenarnya merupakan ancaman yang sudah lama dikenal di industri kripto.

Menurut dia, persoalan yang lebih besar adalah mengapa bursa kripto belum memiliki perlindungan internal dan mekanisme pemutus otomatis (circuit breaker) yang lebih kuat untuk mencegah peretas meningkatkan hak akses dan memindahkan aset setelah berhasil membobol komputer seorang teknisi, seperti yang terjadi pada Binance.

Alexander menilai, perbedaan standar keamanan siber di antara pelaku industri turut memperbesar risiko tersebut. Selain itu, sebagian pendukung mata uang kripto sejak lama memiliki penolakan terhadap mekanisme pengendalian yang dianggap bertentangan dengan prinsip desentralisasi blockchain.

Pandangan tersebut terkadang membuat pembatasan nilai transaksi dan pemeriksaan otomatis terhadap pola pengeluaran dipandang sebagai pelanggaran terhadap hak privasi pengguna.

"Saya pikir secara keliru, hal itu telah membuat sebagian orang berpikir bahwa hal-hal seperti mekanisme pemutus otomatis, kontrol yang lebih ketat pada akun, tidak dapat diterima atau benar-benar bertentangan dengan kebutuhan untuk menghindari penyensoran," kata Alexander.

"Menurut pandangan saya, Anda dapat menerapkan kontrol keamanan sekaligus memberikan perlindungan terhadap hal tersebut," lanjutnya.

Serangan terhadap Binance menjadi salah satu rangkaian peretasan besar yang menghantam industri kripto dalam beberapa tahun terakhir. Berdasarkan data perusahaan intelijen blockchain Chainalysis, total dana yang dicuri melalui peretasan sejak 2021 telah melampaui US$22,3 miliar.

Besarnya kerugian tersebut semakin memperkuat perdebatan mengenai perlunya standar keamanan yang lebih seragam bagi bursa kripto, terutama terkait pengaturan akses, pengendalian transaksi, dan mekanisme perlindungan lainnya.

Alexander memperkirakan, industri kripto akan mulai melihat kejelasan dan standardisasi yang lebih besar terkait ekspektasi keamanan siber, termasuk kemungkinan persyaratan khusus untuk melindungi investor dan meningkatkan kepercayaan.

"Saya memperkirakan kita akan melihat lebih banyak kejelasan dan standardisasi dalam ekspektasi keamanan siber, dan mudah-mudahan juga persyaratan untuk perlindungan serta kepercayaan investor," ujarnya.

"Berbagai peristiwa ini menunjukkan mengapa perubahan tersebut harus dilakukan," tambah Alexander.

Bursa Kripto Jadi Target Utama Peretas

Bursa kripto menjadi target yang sangat menarik bagi pelaku kejahatan siber. Pasalnya, peretas dapat mengidentifikasi dompet digital yang menyimpan aset bernilai besar dan dapat dipindahkan dengan relatif mudah.

Dalam sejumlah kasus, pelaku juga dapat mengidentifikasi karyawan yang memiliki akses terhadap sistem pengendali aset tersebut.

Kondisi ini membuat teknisi dan pekerja teknologi informasi (IT) menjadi sasaran utama operasi rekayasa sosial yang semakin kompleks.

Chief Executive Officer perusahaan keamanan blockchain dan aset digital Project Eleven, Alex Pruden mengatakan, pihak yang bertugas melindungi sistem menghadapi ketimpangan mendasar dibandingkan para penyerang. Peretas hanya perlu berhasil melakukan serangan satu kali untuk menimbulkan kerugian besar.

"Ini adalah masalah yang sangat sulit," kata Pruden.

"Praktik terbaik keamanan siber yang kita miliki hingga saat ini memang belum cukup untuk menghadapi kondisi dunia yang kita hadapi saat ini, terutama jika melihat tingkat ancamannya," lanjutnya.

Dia menambahkan, pekerja keamanan siber di industri kripto harus menghadapi serangan secara terus-menerus.

"Para pekerja keamanan siber di industri ini hidup dalam situasi peperangan tanpa henti. Kami terus-menerus berada di bawah serangan," ujarnya.

Pruden memperkirakan, kasus pencurian di Binance akan mendorong peningkatan investasi untuk memperkuat keamanan siber. Upaya tersebut termasuk pengamanan perangkat kecerdasan buatan (AI) internal dan agen AI yang berpotensi memperbesar kemampuan peretas apabila berhasil disusupi.

"Kita baru berada di awal dari awal cerita ini, tetapi menurut saya peretasan Binance menunjukkan bahwa perangkat-perangkat tersebut dapat dengan sangat cepat digunakan untuk menyerang balik Anda. Kerusakan yang terjadi juga bisa sangat sulit untuk dipulihkan setelah semuanya terjadi," kata Pruden.

Sementara itu, sejumlah bursa kripto mulai memperkuat sistem pertahanan dan meningkatkan pertukaran informasi setelah insiden Binance. Reuters melaporkan perkembangan tersebut pada 30 Oktober.

Pengawasan Regulasi Kripto AS Masih Terfragmentasi

Ketimpangan penerapan standar keamanan siber di industri kripto juga tercermin dalam sistem regulasi Amerika Serikat (AS) yang masih terfragmentasi.

Berbeda dengan perbankan, bursa kripto di AS belum berada di bawah satu rezim pengawasan keamanan siber federal yang berlaku secara menyeluruh. Persyaratan keamanan yang harus dipenuhi perusahaan bergantung pada lokasi operasional dan jenis izin yang dimiliki di masing-masing negara bagian.

New York menjadi salah satu wilayah dengan persyaratan keamanan paling ketat di industri kripto. Departemen Layanan Keuangan New York (New York Department of Financial Services/NYDFS) mewajibkan perusahaan berizin untuk memiliki program keamanan siber, menerapkan autentikasi multifaktor, serta menunjuk pejabat khusus yang bertanggung jawab atas keamanan informasi atau chief information security officer.

Sementara itu, di sejumlah wilayah lain, perusahaan kripto mungkin hanya tunduk pada aturan perizinan pengiriman uang tingkat negara bagian (money transmitter).

Aturan tersebut umumnya mewajibkan perusahaan menyampaikan informasi mengenai program keamanan siber kepada regulator dan menjalani pemeriksaan. Namun, ketentuan tersebut sering kali tidak mengatur secara spesifik standar teknis yang wajib diterapkan, seperti standar enkripsi data.

Selain itu, banyak bursa kripto tidak beroperasi di AS sehingga tidak berada di bawah rezim pengawasan negara bagian tersebut. Meski demikian, perusahaan-perusahaan itu tetap dapat tunduk pada ketentuan berbeda di negara tempat mereka menjalankan bisnis.

Sebaliknya, sektor perbankan di AS telah berada di bawah persyaratan federal yang mencakup penilaian risiko, pemantauan sistem, hingga penanganan insiden keamanan.

Lembaga keuangan terbesar juga menjalani pemeriksaan berkelanjutan oleh otoritas pengawas khusus.

Perbedaan kerangka pengawasan tersebut memperlihatkan tantangan yang masih dihadapi industri kripto dalam membangun standar keamanan yang konsisten.

Kasus Binance pun menjadi pengingat bahwa perlindungan aset digital tidak cukup hanya mengandalkan teknologi blockchain, tetapi juga membutuhkan pengendalian akses internal, pengawasan transaksi, dan tata kelola keamanan siber yang kuat.